Analisar Sophos Endpoint Detections e Threat Graphs
Sophos Central usa várias vistas de Security Activity. Um Event regista uma ação. Um Alert pode exigir reação. Uma Detection mostra atividade invulgar ou suspeita não bloqueada como ameaça conhecida. Um Threat Graph liga ficheiros, processos e outros artefactos de um ataque detetado.
Estas diferenças determinam o workflow. Uma Detection é investigada, não tratada prematuramente como ataque bloqueado. Um Alert fechado também não prova que a ameaça subjacente foi limpa.
Requisitos
Detections e Threat Lineage exigem EDR, XDR ou MDR e Data Lake Upload. Threat Graphs estão disponíveis com Sophos Endpoint; Cross-device Search, Isolation e Clean and block exigem XDR.
Threat Graphs são criados para Windows e macOS. Deep Learning PUA Detections não geram Threat Graph; nesses casos, Live Discover procura File Name ou SHA-256.
Triage de Detections
Em Threat Analysis Center > Detections verificam-se Time Range, Severity, Type, Source e MITRE ATT&CK Mapping. Agrupar por Detection ID combina regras iguais, mas não pode ocultar diferentes dispositivos afetados.
O primeiro Triage responde: que Device e User são afetados, que Processes e Command Lines pertencem ao caso, se a atividade é esperada e se existem Detections ou Alerts semelhantes.
Quick Actions abrem Device Details ou outras Detections do mesmo dispositivo. Pivot Queries procuram Hash, Process ou User. Enrichments conduzem a SophosLabs Intelix ou outras Threat Intelligence Sources. Raw Data continuam disponíveis quando a vista resumida não é suficiente.
Related Detections podem ser atribuídas a um Case existente ou criar um novo com Severity, Status e Owner. Sophos Support não realiza a Investigation de Detections individuais. Para análise 24/7, MDR é o modelo previsto.
Uma deteção ATK/ identifica uma ferramenta de ataque como Metasploit, Mimikatz ou Cobalt Strike. Pode ser legítima num teste Red Team autorizado, mas também é utilizada para Credential Theft, persistência e movimento lateral. O resultado é tratado como possível ataque ativo: verificam-se origem e Parent Process, utilizador com sessão iniciada, execuções posteriores, acesso a outros sistemas e deteções semelhantes. Só um teste documentado e coincidente no tempo justifica outra classificação.
Threat Lineage
Threat Lineage mostra processos antes e depois da Detection. O Graph pode existir automaticamente ou ser criado manualmente, permanece sete dias e pode ser regenerado dentro da Data Lake Retention.
Ao abrir, analisam-se Trigger, Processes e Activities principais. Enrich carrega atividade em intervalos de três dias. Related Processes podem ser incluídos e Lineage exportada como CSV.
Um AI Comment sobre uma Command Line acelera a análise, mas não substitui Path, Parent Process, User e Context.
Analisar Threat Graph
Threat Graph começa em Summary e Root cause. Em Analyze observa-se Direct Path ou Full Graph. Artefactos incluem Processes, Files, Registry Keys e IP Addresses.
Request latest intelligence envia um ficheiro para análise atual da Sophos. Reputation não é um veredito final: uma aplicação interna nova pode ser Unknown e um programa assinado pode ser abusado.
Process Details mostram Path, Command Line, User, SHA-256, Runtime e, com XDR, Static/ML Features. Remediation só é executada após uma avaliação fiável.
Em alerts CryptoGuard ou Malicious Behavior, o link pode inicialmente não existir. O Endpoint comunica normalmente o alert após um ou dois minutos, enquanto Root Cause Analysis e Threat Graph podem demorar cerca de 20 minutos. Procura-se em Threat Analysis Center > Threat Graphs; a falta do link na ação original não prova que não existe análise.
Threat Graphs são criados para deteções de malware, não para PUA, Application Control, Device Control ou Web Control. Um Graph pode também faltar se a Sophos não determinar uma Root Cause. Nesse caso combinam-se Endpoint Events, dados de Detection e queries Live Discover, sem esperar indefinidamente.
Investigar corretamente Exploit Detections
CredGuard, PrivGuard, Lockdown, LoadLib, APC Violation, Code Cave e mensagens semelhantes indicam comportamento bloqueado, não automaticamente um false positive. A investigação começa com Application Event ID 911 de HitmanPro.Alert no Windows. Comparam-se Application, Process Trace, Command Line, Detection ID ou Thumbprint e Parent Processes com o fluxo do utilizador e outros dispositivos.
CredGuard protege lsass.exe contra acesso à memória. Uma aplicação PAM ou Security conhecida pode efetuar o mesmo acesso que malware de Credential Dumping; a notoriedade do fabricante não basta: Process Path, Signature, finalidade e Command Line exata têm de coincidir. PrivGuard bloqueia a elevação de privilégios. Se um produto PAM verificado colidir apenas com Token Manipulation, nos Endpoints a partir do Core Agent 2024.3 pode desativar-se especificamente Prevent access token manipulation, mantendo as restantes funções PrivGuard.
Lockdown impede processos de browser, Office ou email de iniciar código. LoadLib impede sobretudo o carregamento de DLL a partir de caminhos não fidedignos ou de rede. A correção mais segura está no design da aplicação: atualizar o plugin, iniciar o executável fora do contexto do browser ou instalar a DLL localmente. Só depois se consideram uma exclusão estável por Detection ID ou Thumbprint, desativar apenas a mitigation afetada para essa aplicação e, por último, excluí-la completamente do Exploit Monitoring.
Para escalar à Sophos, recolhem-se SDU, fluxo exato e reproduzível, software ou ficheiro afetado e um teste com a Maintenance Release mais recente. No CryptoGuard inclui-se também a pasta Event Journal solicitada pela Sophos no mesmo período. Não se cria uma exclusão antes de demonstrar comportamento legítimo ou um false positive real.
Isolation e Clean and block
Com prioridade alta, o dispositivo é isolado. Central Management e File Submission continuam possíveis. RDP, SSH ou Tool Servers necessários são permitidos por Device Isolation Exceptions restritas.
Clean and block remove File e Artefacts em Windows Devices encontrados e adiciona SHA-256 à Tenant Block List para Windows. Não é um botão de teste para uma suspeita.
Em Global Settings > Protection and Remediation > Allow and Block > Files > Blocked Items, podem ser geridos até 5'000 hashes SHA-256 de aplicações suspeitas. A função requer XDR e bloqueia apenas aplicações em dispositivos Windows. A Sophos ignora hashes de outros tipos de ficheiro ou ficheiros com Reputation já fidedigna.
Um hash adicionado manualmente bloqueia a aplicação em todos os computadores e inicia Cleanup das cópias existentes. O motivo e a pessoa responsável permanecem visíveis. Antes de remover o hash, esclarece-se por que já não é considerado suspeito.
Após Cleanup procuram-se outras ocorrências, Memory e Persistence; só depois se remove Isolation. Os dispositivos são geridos em Global Settings > Protection and Remediation > Allow and Block > Network > Admin Isolated Devices.
Outbreak e lacuna de reporting
Com 100 Detections em 24 horas, a Sophos cria um Outbreak Alert e reduz reports semelhantes. Protection continua, mas Detection Reports completos só regressam quando o Outbreak é marcado Resolved após Cleanup.
Um Outbreak não é fechado apenas para limpar a lista. Primeiro verificam-se Device, Root Cause, Artefacts e Remediation.
Encerramento
O Case documenta Cause, Devices, Hashes, Users, Actions e Control Queries. Threat Graph e Alert só são fechados sem novas ocorrências e com Health State plausível.
Artigos relacionados
Threat Cleanup e False Positives são explicados em Sophos Endpoint Threat Cleanup e remoção de malware. Para Queries, consulte Sophos Endpoint Data Collection e Live Discover. Isolation e acesso Terminal encontram-se em Isolar Sophos Endpoint e usar Live Response.